Windows程序中大量使用的DLL文件,主要的作用是共享二进制代码。用户级编程中,核心API都在Kernel32.dll(内存、进程和线程管理)、User32.dll(窗口管理)和GDI32.dll(绘图)中提供。我们使用这些API如MessageBoxA时,只需要包含头文件Windows.h,并且把对应的User32.lib文件提供给链接器,那么系统就把如何找到MessageBoxA的信息放入程序的导入表中。程序运行时找到导入表,发现引用了User32.dll 中的MessageBoxA,然后把User32.dll加载到进程的地址空间,再把调用MessaeBoxA的地址替换成它的真实地址。下面我们一步一步来,看看这个过程。这里MessageBoxA 就是一个导入函数,从User32.dll中导入。
附上一张自制的PE图,定位导入函数地址时,熟悉PE格式定能事半功倍。PE格式的文章多如牛毛,这里不再详细介绍。
我们分为 4 个步骤来讲解定位 MessageBoxA 地址的问题。